Спам-ботнет из холодильных контроллеров: девять узлов, три подтверждены

Речь об управляющих контроллерах Dixell, которые сейчас продаются под маркой Copeland. Они стоят над стеллажами с заморозкой и холодильными камерами, а веб-интерфейс для удалённой настройки нередко открыт в интернет. Обновления на таких узлах ставят редко: оборудование приходится выводить из работы. Прошивка несёт уязвимость CVE-2026-25085 — обход аутентификации в XWEB Pro 1.12.1 и более ранних версиях с оценкой 8.6 по CVSS. Проверка логина в устройстве возвращает пустой результат вместо явного отказа, и контроллер считает вход успешным. Исправление вендор выпустил, обновиться можно до последней версии.

По данным SecurityScorecard, картина сложилась из двух наборов данных — сканирования интернета и потоковых записей с открытых панелей. Сканирование подтвердило, что часть контроллеров по-прежнему выставляет веб-интерфейс в сеть с уязвимой прошивкой. Потоковые данные вывели на девять адресов, которые только отправляли почту и не принимали её. Настоящий почтовый сервер делает и то, и другое, поэтому узлы сочли специализированными отправителями спама, а не почтовой инфраструктурой.

Связь между узлами подтверждает перекрытие списков адресатов: 508 из 1041 цели получили письма минимум от двух узлов. Три самых активных делили около 47% списков. Независимые отправители не сошлись бы на одних и тех же адресах случайно, отмечают исследователи.

Подлинность устройств проверяли без вторжения: читали сертификат TLS и заголовок страницы — то же, что делает браузер при открытии сайта. Часть узлов предъявила сертификат, выданный Dixell, и фирменный интерфейс. Подделать одновременно цепочку сертификатов и живой интерфейс трудно, поэтому эти панели признали настоящими. Остальные адреса проверить не удалось, они остались неподтверждёнными.

Полной картины пока нет. Общего управляющего сервера исследователи не нашли — только два общих адреса с малым числом сессий. Уверенность в выводах низкая и средняя: два контроллера стоят за потребительскими роутерами, то есть внутри небольшой площадки, а не в дата-центре. Сама уязвимость входит в набор из 23 ошибок, о которых Claroty Team82 сообщила в CISA; среди них есть расчёт пароля администратора по MAC-адресу и внедрение команд.

Ранее, по сообщению CNBC, неизвестные удалённо поднимали температуру в холодильниках супермаркетов как минимум в шести европейских странах, иногда до 50 градусов. Ответственность за это никто не взял, вредоносного ПО не применяли. Со своей находкой эти эпизоды исследователи не связали и приводят как объяснение, почему такие контроллеры важны. Признаком компрометации средней уверенности они называют сочетание открытой панели и исходящей почты без входящей, но кто стоит за кластером, пока не установлено.